0498 70 98 60WordPress-site beveiligen: 12 maatregelen, inclusief de juiste PHP-versie
Je WordPress-site werkt, ziet er goed uit en de contactaanvragen komen binnen. Waarom zou je je er dan druk om maken? Omdat een WordPress-site nooit ‘af’ is. De kern van het CMS, de plug-ins, het thema en de PHP-versie waarop alles draait, veranderen voortdurend. Elke vergeten update laat een deur op een kier staan.
In dit artikel delen we de maatregelen die we bij Référenceur toepassen om de sites van onze klanten te beschermen. We leggen ook uit waarom de PHP-versie van je hosting een beveiligingsonderwerp op zich is, en waarom een te oude site van de ene op de andere dag kan stoppen met werken.
Waarom WordPress-sites zo vaak doelwit zijn
WordPress draait onder een heel groot deel van het web. Dat is de kracht ervan, maar het maakt WordPress ook een geliefd doelwit: een lek in een populaire plug-in kan binnen een paar uur op duizenden sites worden misbruikt, door bots die het internet continu afspeuren.
Hackers hebben het dus niet op ‘jouw’ site gemunt. Ze zoeken kwetsbare sites, ongeacht hoe groot die zijn. Een mkb-bedrijf, een zzp’er of een vereniging loopt evenveel risico als een groot merk, vaak zelfs meer, omdat hun site minder goed wordt bewaakt.
Eenmaal binnen is het doel bijna altijd hetzelfde: je site misbruiken, en het vertrouwen dat Google erin heeft. Denk aan redirects naar frauduleuze sites, geïndexeerde spampagina’s, het versturen van kwaadaardige e-mails of het stelen van formuliergegevens. De gevolgen zijn concreet: je zakt in Google, browsers tonen een waarschuwing dat de site gevaarlijk is, je hostingprovider schort je account op en je imago lijdt eronder.
12 maatregelen om je WordPress-site te beveiligen
De beveiliging van een site rust niet op één wonderplug-in, maar op een reeks goede gewoonten. Dit zijn de gewoonten die echt het verschil maken.
Alles up-to-date houden
- De WordPress-kern bijwerken. Kleine versies dichten vaak beveiligingslekken. Zet in elk geval de automatische beveiligingsupdates aan.
- Plug-ins en thema bijwerken. De overgrote meerderheid van de misbruikte lekken zit in plug-ins. Een plug-in die al maanden niet is bijgewerkt, is een risico, ook als de site ‘gewoon werkt’.
- Verwijderen wat je niet meer gebruikt. Een uitgeschakelde plug-in staat nog op de server en kan worden misbruikt. Hetzelfde geldt voor oude thema’s: houd het actieve thema en één standaardthema, meer niet.
- Kiezen voor onderhouden plug-ins. Controleer voor de installatie van een plug-in wanneer die voor het laatst is bijgewerkt en of hij werkt met jouw WordPress-versie. Blijf weg bij ‘nulled’ (illegaal gekopieerde) premiumthema’s en -plug-ins: die bevatten heel vaak een achterdeur.
De toegang afsluiten
- Sterke, unieke wachtwoorden voor WordPress, de hosting, FTP/SFTP en de database, bewaard in een wachtwoordmanager.
- Tweestapsverificatie (2FA) op alle beheerdersaccounts.
- Het principe van minimale rechten. Een redacteur heeft geen beheerdersaccount nodig. Verwijder de accounts van vroegere leveranciers en medewerkers.
- Het aantal inlogpogingen beperken en, als dat kan, de toegang tot het beheer extra beschermen of een ander adres geven.
Server en configuratie versterken
- Degelijke hosting, met een recente PHP-versie (daar komen we zo op terug), een SSL-certificaat en scheiding tussen de sites.
- Een webapplicatiefirewall (WAF), bij de hostingprovider, via een dienst als Cloudflare of via een beveiligingsplug-in, om aanvallen tegen te houden voordat ze WordPress bereiken.
- De configuratie harden: bestanden bewerken vanuit het beheer uitschakelen (DISALLOW_FILE_EDIT), het uitvoeren van PHP in de map uploads verbieden, wp-config.php beschermen en de juiste bestandsrechten instellen.
Rekening houden met het ergste
- Automatische back-ups buiten de server, regelmatig getest, en bewaking: malwarescans, meldingen bij gewijzigde bestanden en het volgen van Search Console. Een back-up die nooit is teruggezet, is niet meer dan een aanname.
Heb je geen tijd of zin om dit allemaal zelf te doen? Dat is precies ons vak. We kunnen je site doorlichten en het dagelijkse onderhoud en de beveiliging ervan overnemen. Laten we het erover hebben.
Plug-ins: de eerste ingang voor hackers
Elke plug-in voegt PHP-code toe die je server uitvoert, vaak geschreven door een ontwikkelaar die je niet kent. Hoe meer plug-ins, hoe groter het aanvalsoppervlak: meer bestanden, formulieren, AJAX- en REST-toegangspunten en meer updates om bij te houden. Een site met 40 plug-ins loopt niet 40 keer meer risico, maar één kwetsbare plug-in is genoeg om de hele site over te nemen, inclusief de database.
Wat een kwetsbare plug-in concreet mogelijk maakt
| Soort lek | Veelvoorkomende technische oorzaak | Wat de hacker doet |
|---|---|---|
| Gebrekkige toegangscontrole | wp_ajax_nopriv_-actie of REST-route zonder controle met current_user_can() | Past instellingen aan of maakt een beheerdersaccount aan zonder in te loggen |
| Willekeurige bestandsupload | Geen controle op het MIME-type of de extensie van het geüploade bestand | Plaatst een PHP-script (web shell) in wp-content/uploads en neemt de server over |
| SQL-injectie | Query opgebouwd zonder $wpdb->prepare() | Leest of wijzigt de database: accounts, e-mailadressen van klanten, bestellingen |
| Opgeslagen XSS | Gegevens weergegeven zonder escaping (esc_html(), esc_attr()) | Injecteert een script dat bezoekers omleidt of de sessie van een beheerder steelt |
| CSRF | Formulier of actie zonder nonce (wp_verify_nonce()) | Laat een ingelogde beheerder ongemerkt een actie uitvoeren |
| Verhoging van rechten | Rollen of gebruikersmetadata zonder controle aan te passen | Een gewone abonnee wordt beheerder |
| Bestandsinclusie of objectinjectie | include op een URL-parameter, unserialize() op externe gegevens | Voert op afstand code uit |
Riskante plug-ins
- Verlaten plug-ins. Al een jaar of langer geen update, of de vermelding ‘gesloten’ op WordPress.org. Een ontdekt lek wordt nooit meer gedicht.
- ‘Nulled’ plug-ins. Illegale kopieën van premiumversies, gedownload buiten de site van de maker. Ze bevatten heel vaak al bij installatie een achterdeur en krijgen geen updates.
- Overgenomen plug-ins. Een populaire plug-in kan van eigenaar wisselen. Het is al eens gebeurd dat een nieuwe eigenaar via een update kwaadaardige code toevoegde: let dus op wijzigingen van de auteur.
- Alles-in-één-plug-ins. Een plug-in die 30 dingen doet terwijl je er één gebruikt, brengt 29 overbodige functies mee, en dus net zoveel blootgestelde code.
- Dubbele plug-ins. Twee cache-, SEO- of beveiligingsplug-ins tegelijk: conflicten, vertraging en een dubbel zo groot aanvalsoppervlak.
- Knip-en-plakcode. Een fragment van een forum in functions.php of een zelfgemaakte plug-in die nooit door een ontwikkelaar is nagekeken.
Een plug-in kiezen: de checklist
| Criterium | Waar controleer je het? | Waarschuwingssignaal |
|---|---|---|
| Laatste update | Pagina op WordPress.org of site van de maker | Langer dan 12 maanden geen update |
| Compatibiliteit met WordPress | ‘Getest tot en met’ op de pagina | Duidelijk oudere WordPress-versie dan die van jou |
| Vereiste PHP-versie | ‘PHP-versie vereist’ op de pagina | Geen compatibiliteit vermeld met PHP 8.3 of hoger |
| Actieve installaties en beoordelingen | Pagina op WordPress.org | Weinig installaties, recente beoordelingen over onopgeloste bugs |
| Snelheid van de ondersteuning | Tabblad ‘Ondersteuning’ op de pagina | Vragen die al maanden onbeantwoord zijn |
| Beveiligingsgeschiedenis | Databases van WPScan, Patchstack of Wordfence Intelligence | Herhaalde lekken, of lekken die laat zijn gedicht |
| Herkomst | Downloadadres | Elke andere site dan WordPress.org of de officiële maker |
| Reikwijdte | Beschrijving en instellingen | Doet veel meer dan je nodig hebt |
Opruimen: de audit van je geïnstalleerde plug-ins
Loop elk kwartaal alle plug-ins door en stel één simpele vraag: is deze plug-in onmisbaar?
| Situatie | Besluit |
|---|---|
| Nuttig, onderhouden, bijgewerkt | Houden en bijwerken |
| Nuttig, maar verlaten of herhaaldelijk lek | Vervangen door een onderhouden alternatief |
| Uitgeschakeld of niet meer in gebruik | Verwijderen (niet alleen uitschakelen) |
| Functie die WordPress of het thema zelf kan | Verwijderen en de ingebouwde functie gebruiken |
| Premiumplug-in met verlopen licentie | Licentie verlengen of vervangen: zonder licentie geen updates |
Laat je hosting het toe, dan versnelt WP-CLI deze controle: wp plugin list –update=available toont de plug-ins die achterlopen, en wp plugin verify-checksums –all vergelijkt de bestanden van plug-ins uit WordPress.org met de originelen, zodat je een door een hacker gewijzigd bestand opspoort. Controleer ook de map wp-content/mu-plugins: must-use-plug-ins staan niet in de gewone lijst, en hackers verstoppen er graag hun code.
Telt je site tientallen plug-ins en weet je niet meer waar ze allemaal voor dienen? We doen een volledige audit: inventaris, bekende lekken, PHP-compatibiliteit en advies over vervanging. Vraag een audit aan.
De PHP-versie: de onzichtbare motor van je site
PHP is de programmeertaal waarin WordPress is geschreven. Je hostingprovider bepaalt op welke PHP-versie je site draait, en die versie is voor de beveiliging net zo belangrijk als de updates van WordPress zelf.
Elke PHP-versie heeft een beperkte levensduur: twee jaar actieve ondersteuning, daarna twee jaar alleen beveiligingsupdates. Vervolgens is de versie end-of-life en krijgt ze geen enkele correctie meer, ook niet als er een ernstig lek wordt ontdekt.
Bron: officiële planning van de PHP-versies, via endoflife.date, stand van 25 oktober 2026.
Op 1 november 2026 worden alleen de versies 8.2, 8.3, 8.4 en 8.5 nog onderhouden. PHP 8.1 krijgt sinds 31 december 2025 geen patches meer, en PHP 7.4, nog veel te vinden op oudere sites, is al sinds november 2022 end-of-life.
Waarom een te oude versie gevaarlijk is
- De lekken blijven open. Wordt er een kwetsbaarheid in PHP ontdekt, dan wordt die alleen in de ondersteunde versies gedicht. Verouderde versies blijven kwetsbaar, terwijl het lek inmiddels openbaar is.
- Plug-ins haken af. Ontwikkelaars stoppen geleidelijk met de ondersteuning van oude PHP-versies. Je site kan dan ook de beveiligingsupdates van zijn plug-ins niet meer krijgen: een dubbel risico.
- De site is trager. Recente PHP-versies presteren duidelijk beter, en dat merk je aan de laadtijd, de ervaring van je bezoekers en je vindbaarheid in Google.
Hostingproviders schrappen verouderde versies
Geen enkele serieuze hostingprovider kan eindeloos PHP-versies blijven aanbieden die geen patches meer krijgen. De een na de ander haalt ze van de servers. Meestal waarschuwen ze per e-mail (een bericht dat vaak ongemerkt blijft) en zetten ze de sites daarna over op een nieuwere versie.
Dan duikt het probleem op. Een oude site met een thema of plug-ins die niet meer worden onderhouden, werkt soms gewoon niet op een recente PHP-versie. Het gevolg: een kritieke fout, een wit scherm of een onbereikbare site, soms van de ene op de andere dag. En kan de site niet draaien op een ondersteunde versie, dan gaat hij uiteindelijk offline.
Welke versie kies je in 2026?
Sinds WordPress 7.0 is PHP 7.4 het absolute minimum, maar WordPress raadt PHP 8.3 of hoger aan. Ons advies: PHP 8.3 of 8.4. Draait je site nog op 8.2, plan de overstap dan vóór 31 december 2026. Draait hij op een nog oudere versie, dan is het dringend tijd om in actie te komen.
Zo controleer je je PHP-versie (en zie je of een nieuwe site nodig is)
Je PHP-versie controleren kost twee minuten:
- Ga in WordPress naar Gereedschap > Sitegezondheid > Info en open het onderdeel Server: daar staat de PHP-versie. Het tabblad Status meldt het ook als je versie verouderd is.
- Zoek in het klantenpaneel van je hostingprovider (cPanel, Plesk of een eigen omgeving) naar ‘PHP-versie’ of ‘PHP-configuratie’.
- Heb je SSH-toegang, gebruik dan php -v, of wp –info met WP-CLI.
Verander de PHP-versie nooit rechtstreeks op de live site. Test eerst op een kopie (een testomgeving), met een volledige back-up en de debugmodus aan (WP_DEBUG_LOG), zodat je fouten en verouderde functies opspoort.
Bijwerken of een nieuwe site?
| Jouw situatie | Wat je moet doen |
|---|---|
| WordPress en plug-ins bijgewerkt, PHP 8.2 of hoger | Onderhoud: na een test overstappen op PHP 8.3 of 8.4 |
| Een paar plug-ins lopen achter, PHP 8.0 of 8.1 | Begeleide update: eerst de plug-ins, dan PHP, op een testkopie |
| Thema niet meer onderhouden of oud maatwerk, verlaten pagebuilder | Technische audit: het thema moet waarschijnlijk worden vervangen |
| WordPress al jaren niet bijgewerkt, PHP 7.x of 5.x | Nieuwe site: deze site gaat niet werken op een ondersteunde PHP-versie |
| Site al gehackt, of herhaaldelijk gehackt | Volledig opschonen, daarna bijwerken of een nieuwe site, afhankelijk van de staat |
Een site van vijf à zeven jaar oud die nooit echt is onderhouden, valt vaak in een van de laatste twee rijen. Hem opknappen kost dan soms meer dan opnieuw beginnen op een schone basis die sneller is, goed werkt op mobiel en is gebouwd met vindbaarheid in gedachten. Een nieuwe site is niet alleen een kostenpost voor de beveiliging: het is ook de kans om je site minstens op het peil van je concurrenten te brengen.
Is je site misschien al gehackt? De signalen die niet liegen
Een hack zie je niet altijd. Hackers hebben er belang bij zo lang mogelijk onopgemerkt te blijven. Dit zijn de meest voorkomende symptomen:
| Symptoom | Waar zie je het? |
|---|---|
| Redirect naar een andere site, vaak alleen vanuit Google of op mobiel | Door vanuit de zoekresultaten van Google op je site te klikken, op een smartphone |
| Onbekende geïndexeerde pagina’s (vaak in het Japans, Chinees of Russisch) | Zoeken op site:jouwdomein.nl in Google |
| Waarschuwing dat de site schadelijk kan zijn, of een rode pagina | Browser, zoekresultaten van Google |
| Melding ‘Beveiligingsproblemen’ | Google Search Console |
| Beheerdersaccounts die je niet zelf hebt aangemaakt | Gebruikers in WordPress |
| PHP-bestanden in wp-content/uploads, onlangs zonder reden gewijzigde bestanden | Bestandsbeheer of FTP |
| Opgeschorte site of waarschuwingsmail van de hostingprovider | Je mailbox, klantenpaneel |
| E-mails van de site in de spammap, of massaal verzonden spam | Reacties van klanten, meldingen van de hostingprovider |
Wat je wel en niet moet doen
- Gooi niet in paniek alles weg. Maak eerst een back-up van de huidige staat: die heb je nodig om de aanval te analyseren.
- Wijzig alle wachtwoorden: WordPress, hosting, FTP/SFTP en database, en genereer nieuwe beveiligingssleutels in wp-config.php.
- Vertrouw niet alleen op een opschoonplug-in. Die verwijdert vaak de zichtbare symptomen, maar niet de achterdeuren in de bestanden of de database. Een paar dagen later is de site dan opnieuw besmet.
- Zoek het lek waarlangs de hacker binnenkwam. Zolang dat niet is gedicht (een kwetsbare plug-in, een gelekt wachtwoord, een verouderde PHP-versie), komt de hacker terug.
- Vraag Google om de site opnieuw te beoordelen zodra hij schoon is, zodat de waarschuwingen verdwijnen.
Grondig opschonen is handwerk dat je methodisch aanpakt. Hoe eerder het gebeurt, hoe kleiner de schade aan je posities in Google.
Hoe Référenceur je kan helpen
Een WordPress-site beveiligen vraagt tijd, nauwkeurigheid en voortdurende alertheid. Dat is ons dagelijks werk. Afhankelijk van de situatie van je site helpen we je op drie niveaus.
| Wat je nodig hebt | Wat wij doen |
|---|---|
| Je site is gehackt | Gratis diagnose, handmatig opschonen van bestanden en database, achterdeuren verwijderen, het lek dichten, contact met de hostingprovider en Google, verslag van de ingreep. |
| Je wilt weten waar je staat | Beveiligingsaudit: PHP-versie en compatibiliteit, inventaris en bekende lekken van plug-ins, accounts, serverconfiguratie, back-ups en een actieplan met prioriteiten. |
| Je site is te oud | Nieuwe site op een schone, bijgewerkte WordPress-basis die werkt met recente PHP-versies, sneller is en is geoptimaliseerd voor Google, met daarna onderhoud zodat dat zo blijft. |
Référenceur is een online marketingbureau uit België en Luxemburg. We werken volledig op afstand, met Nederlandse teksten van native speakers, en leggen elke stap helder uit, zonder onnodig jargon.
Wacht niet tot je hostingprovider je site offline haalt of Google hem als gevaarlijk markeert. Neem contact op voor een diagnose: we controleren je PHP-versie, je plug-ins en de beveiliging van je site, en zeggen je eerlijk of bijwerken volstaat of dat het tijd is voor een nieuwe site. Vraag een gratis analyse aan
Veelgestelde vragen
Welke PHP-versie gebruik je in 2026 voor WordPress?
PHP 8.3 of 8.4. WordPress raadt minimaal PHP 8.3 aan, en deze twee versies krijgen beveiligingsupdates tot eind 2027 en eind 2028.
Mijn site draait op PHP 7.4. Is dat erg?
Ja. PHP 7.4 krijgt sinds november 2022 geen enkele patch meer. Je site staat open voor bekende lekken en je hostingprovider kan deze versie op elk moment schrappen.
Kan een PHP-update mijn site breken?
Dat kan, als het thema of bepaalde plug-ins oud zijn. Daarom voer je de update eerst uit op een testkopie, na een back-up.
Hoeveel plug-ins mag ik maximaal installeren?
Daar bestaat geen magisch getal voor. De regel: alleen wat onmisbaar, onderhouden en bijgewerkt is. Elke extra plug-in is meer code om in de gaten te houden.
Is een beveiligingsplug-in genoeg?
Nee. Hij is nuttig, maar vervangt geen updates, geen ondersteunde PHP-versie, geen back-ups en geen menselijk toezicht.
Mijn site is gehackt. Wat doe ik eerst?
Maak een back-up van de huidige staat, wijzig alle wachtwoorden en schakel een specialist in voor grondig opschonen. Neem contact met ons op: de diagnose is gratis.